OSS Scanner : Anthropic propose des scans de sécurité gratuits pour l’open source
Anthropic propose des scans de sécurité gratuits pour les projets open source critiques, avec des rapports générés par IA sans relecture humaine.
Anthropic a annoncé le 8 octobre OSS Scanner, un service gratuit de recherche de vulnérabilités pour les projets open source critiques. Les mainteneurs qui s’inscrivent reçoivent des analyses périodiques réalisées par ses modèles, avec des rapports envoyés par e-mail, des étapes de reproduction et, lorsqu’il est disponible, un correctif proposé.
La particularité, c’est que ces rapports arrivent sans relecture humaine. Anthropic présente le service comme une voie plus rapide que son processus habituel de divulgation, où les signalements sont d’abord vérifiés par son équipe. Il faudra donc confirmer les problèmes remontés et examiner les patchs : un rapport détaillé ne garantit pas que la faille soit réelle, ni que sa gravité soit correctement évaluée.
L’accès n’est pas ouvert à tous les dépôts. Anthropic retient des critères proches d’OSS-Fuzz : des projets établis dont dépendent de nombreux utilisateurs ou dont la sécurité compte pour les infrastructures. Chaque candidature est examinée, avec vérification du statut de mainteneur.
L’inscription passe par une pull request sur le dépôt anthropics/oss-scanner, avec un fichier project.yaml et un Dockerfile permettant de construire le projet. La compilation s’effectue dans une machine virtuelle isolée avec accès réseau, puis l’audit se déroule sans Internet. Ce dépôt sert à inscrire et préparer les projets, pas à installer le scanner chez soi.
Aucun délai de divulgation de 90 jours n’est imposé aux résultats non validés. Si Anthropic confirme ensuite un signalement par une revue humaine, son processus habituel de divulgation peut toutefois s’appliquer.
Annonce d’Anthropic
Fonctionnement et conditions d’inscription
← Retour aux posts
La particularité, c’est que ces rapports arrivent sans relecture humaine. Anthropic présente le service comme une voie plus rapide que son processus habituel de divulgation, où les signalements sont d’abord vérifiés par son équipe. Il faudra donc confirmer les problèmes remontés et examiner les patchs : un rapport détaillé ne garantit pas que la faille soit réelle, ni que sa gravité soit correctement évaluée.
L’accès n’est pas ouvert à tous les dépôts. Anthropic retient des critères proches d’OSS-Fuzz : des projets établis dont dépendent de nombreux utilisateurs ou dont la sécurité compte pour les infrastructures. Chaque candidature est examinée, avec vérification du statut de mainteneur.
L’inscription passe par une pull request sur le dépôt anthropics/oss-scanner, avec un fichier project.yaml et un Dockerfile permettant de construire le projet. La compilation s’effectue dans une machine virtuelle isolée avec accès réseau, puis l’audit se déroule sans Internet. Ce dépôt sert à inscrire et préparer les projets, pas à installer le scanner chez soi.
Aucun délai de divulgation de 90 jours n’est imposé aux résultats non validés. Si Anthropic confirme ensuite un signalement par une revue humaine, son processus habituel de divulgation peut toutefois s’appliquer.
Annonce d’Anthropic
Fonctionnement et conditions d’inscription